바이낸스, 63억4000만달러 해킹 경로 공개…가짜 면접·사내 AI 악용...김여정 강력 반발 이유는

바이낸스, 6월 침해 탐지했지만 정보 노출…10월 공격 못 막아
해커들, 직원 3명 컴퓨터·배포 권한 악용…자산 대량 인출
WSJ, 김여정 이례적 부인 분석…북한 해킹 피해 비중 89%

2025년 2월 11일(현지시간) 프랑스 동부 뮐루즈에서 찍은 사진에 스마트폰 화면의 비트코인 로고가 보인다. 복수의 소식통이 암호화폐 거래소 바이낸스(Binance)에 대한 대규모 해킹을 보도하자, 10월 29일 비트코인 가격이 급락했다./AFP·연합

【기사 요약】
▲ 바이낸스는 가짜 면접과 악성코드, 사내 인공지능(AI) 도구를 결합한 다단계 공격으로 직원 컴퓨터가 장악됐다고 밝혔다.
▲ FBI는 북한 조직 트레이더트레이터를 배후로 지목했으며 김여정은 미국의 주장을 정치적 도발이라고 반박했다.
▲ WSJ는 김여정의 이례적 부인을 북한의 '불량국가' 이미지에 맞서려는 움직임이라고 전문가 분석을 전했다.
▲ 체이널리시스 집계에서 북한 연계 탈취액은 2024년 기타 해커 전체를 추월했고, 2026년 현재까지 피해액의 약 89%를 차지했다.

바이낸스는 3일(현지시간) 63억4000만달러(8조5305억원) 규모 해킹의 초기 조사 결과를 공개했다. 해커들은 가짜 채용 면접과 악성코드, 사내 인공지능(AI) 도구를 악용해 직원들의 컴퓨터를 장악했다. 미국 일간 월스트리트저널(WSJ)은 김여정 북한 노동당 총무부장의 이례적 부인을 북한의 '불량국가(rogue nation)' 이미지에 대응하려는 움직임이라는 전문가 분석을 전했다.

◇ 바이낸스, 6월 첫 침해 발견했지만 직원 정보 노출…9월 가짜 면접에 재침투

바이낸스에 따르면 공격자들은 6월 가상화폐 지갑 개발 담당 엔지니어 A가 변조된 개발 도구를 내려받도록 유도했다. 보안팀은 침해를 감지해 장비를 교체하고 인증 정보를 갱신했지만, A의 업무와 지갑 인프라팀 동료들의 정보는 이미 노출됐다. 9월에는 가짜 회사의 프로젝트 책임자를 사칭해 구직 플랫폼에서 엔지니어 B에게 접근했다. 첫 면접에서 개인 사진·영상이 담긴 소셜미디어(SNS) 계정을 보여주며 신뢰를 얻었다. 두 번째 면접에서는 가짜 회사의 최고경영자(CEO)로 위장한 해커가 바이낸스 직원에게 면접 과제라고 속여 악성코드가 포함된 파일을 업무용 컴퓨터에 내려받도록 했다.

악성코드는 바이낸스의 보안 시스템에 탐지되지 않았다. 해커들은 이를 이용해 정상적인 개발 도구 일부를 악성코드로 바꾸고 자신들이 통제하는 외부 서버와 통신하도록 했다. 영국 일간 파이낸셜타임스(FT)는 바이낸스 조사 결과가 직원의 판단과 행동이 침해에 미친 영향을 보여준다고 평가했다. 블룸버그통신은 보안업체 팰로앨토네트웍스가 위장 채용 수법을 '전염성 면접(Contagious Interview)'으로 명명했다고 보도했다.

리처드 텅 바이낸스 공동 최고경영자(CEO)가 3일(현지시간) 중국 홍콩에서 열린 홍콩 핀테크 위크에 참석하고 있다./로이터·연합

◇ 해커들, 내부 AI로 다른 직원 컴퓨터 장악…10월 29일 출금망 우회

9월 가짜 면접으로 감염된 B의 컴퓨터는 다른 직원의 장비에 접근하는 발판이 됐다. 해커들은 10월 20일 바이낸스 내부 AI 도구를 이용해 엔지니어 A와 C의 컴퓨터까지 제어했고, A의 컨테이너 배포 권한 토큰을 악용했다. 블룸버그는 바이낸스가 AI 도구의 종류와 구체적인 제어 방식은 공개하지 않았다고 전했다. 리처드 텅 바이낸스 공동 CEO는 "이는 단 한 번의 실수나 단 한 번의 침해가 아니었다. 여러 달에 걸쳐 구축된 작전이었다"고 밝혔다.

공격자들은 10월 29일 C의 컴퓨터에 로그인해 악성 스크립트를 실행했다. 바이낸스 조사에 따르면 협정세계시(UTC) 29일 오후 8시 5분(한국시간 30일 오전 5시 5분)부터 4분간 리플(XRP) 2억3346만개를 인출했다. 이어 솔라나(SOL) 97만500개와 옵티미즘(OP) 4420만개, 비트코인 1만8270개, 이더리움 2961.9개를 옮겼다. 이더리움 네트워크에서는 승인 권한 위임 기능 EIP-7702와 사전 서명 50개를 악용해 정상적인 출금 인프라를 우회했다. 바이낸스는 공격 시작 약 4시간 뒤인 UTC 30일 0시 10분(한국시간 30일 오전 9시 10분) 위임 코드를 초기화해 추가 유출을 차단했다고 밝혔다.

FBI는 탈취액을 60억달러 이상으로 발표했고, 바이낸스는 영향을 받은 자산을 63억4000만달러로 집계했다. 회사는 이 중 28억5000만달러(3조8347억원)가 동결되거나 이동이 차단됐다고 밝혔다. 3일 조사자료에는 손실분의 98% 이상을 벌충했다고 적었지만, 텅 CEO는 같은 날 행사에서 영향을 받은 토큰의 95%를 보충했다고 말했다. 보충액은 실제 탈취 자산의 회수액이 아니다.

허이(何一) 공동 창업자 겸 공동 CEO는 2026년 북한 연계 의심 공격 57건을 탐지·차단했다며 "우리는 그중 다수를 막았지만, 단 한 번 막지 못한 대가는 컸다. 이런 일은 일어나서는 안 됐다"고 말했다. 바이낸스는 지갑 시스템과 내부 AI 도구를 재구축하고 외부 보안 감사를 진행 중이다.

박정천 북한 국방성 고문이 10월 20일 리일환 노동당 비서, 김여정 당 부장, 인민군 총참모부 주요 지휘관들과 함께 남부 국경 요새화 공사 현장의 주요 지점들을 시찰했다고 조선중앙통신이 21일 보도했다./평양 조선중앙통신=연합

◇ 김여정, 북한 해킹 의혹 부인…WSJ, '불량국가' 이미지 반박으로 해석

바이낸스가 공격 경로를 공개하기에 앞서 미국 연방수사국(FBI)은 10월 31일 북한 연계 조직 트레이더트레이터(TraderTraitor)를 범행 주체로 지목했다. 김여정은 2일 발표한 담화에서 이를 "황당무계한 낭설"이자 "엄중한 정치적 도발"이라고 주장했다. 김여정은 조선중앙통신이 4일 전한 추가 담화에서는 대화를 선택지로 거론하면서도 미국의 대북 적대 정책 철회를 요구했다. 그녀는 미국의 적대적 행보에 맞서 "우리의 반사적 대응에서도 새로운 기록들이 창조돼야 마땅하다"고 주장했다.

홍민 통일연구원 선임연구위원은 북한이 사이버범죄 연루 의혹에 거의 대응하지 않으며 반박하더라도 실무급 관리가 나서는 것이 일반적이라며 김여정이 미국이 북한의 불법 행위자 이미지를 강화하는 것을 막으려 한다고 분석했다고 WSJ가 전했다. WSJ는 북한이 러시아·중국과 관계를 강화하면서 '불량국가'보다 핵보유 강국으로 인정받으려 한다고 해석했다.

미국 국무부 관리는 이날 북한의 사이버범죄를 "미국을 포함해 전 세계 기업과 여러 국가에 영향을 미치는 전 지구적 문제"라고 규정했다. 그는 북한이 제재 우회와 대량살상무기(WMD)·탄도미사일 프로그램의 자금 조달에 암호화폐 탈취와 자금세탁을 이용한다고 지적했다.

북한이 '저격수'라고 명명한 초정밀 600㎜ 대구경 방사포 전투사격을 진행했다고 조선중앙통신이 10월 30일 보도했다. 전투사격은 전날인 29일 진행됐으며 김정은 국무위원장과 딸 주애, 부인 리설주 등이 참관했다./평양 조선중앙통신=연합

◇ 체이널리시스, 북한 탈취액 2024년 기타 해커 추월…2026년 비중 89%

북한 연계 해커들의 가상화폐 탈취 규모가 급증한 추세는 블록체인 분석업체 체이널리시스(Chainalysis)의 연도별 최소 추정치에서도 확인된다고 블룸버그가 보도했다. 2021년 북한·기타 해커의 탈취액은 각각 5억649만달러(6815억원)·28억2000만달러(3조7943억원)였다. 2022년에는 11억1000만달러(1조4935억원)·25억8000만달러(3조4714억원), 2023년에는 6억6050만달러(8887억원)·11억5000만달러(1조5473억원)로 기타 해커가 더 많았다.

그러나 2024년 북한이 13억4000만달러(1조8030억원)로 기타 8억6384만달러(1조1623억원)를 추월했다. 2025년에는 각각 20억1000만달러(2조7045억원)·7억1674만달러(9644억원), 2026년 11월 초까지는 76억1000만달러(10조2393억원)·9억6700만달러(1조3011억원)로 격차가 벌어졌다. WSJ는 북한 비중이 2021년 약 15%에서 2026년 현재까지 약 89%로 높아졌다고 전했다.

김여정 북한 노동당 부장이 연일 담화를 내고 '국경선 요새화' 작업의 당위성을 강조하고 나아가 대남 확성기 재가동 가능성까지 시사하는 등 압박 수위를 높이고 있는 가운데 23일 인천 강화군에서 바라본 북한 황해도 개풍군 접경 지역에서 북한 군인들이 전술도로 및 철책 건설 등 국경선 요새화 작업을 하고 있다./평양 조선중앙통신=연합

◇ WSJ, 탈취 자산 세탁에 수개월 예상…최종 사용처는 미확인

누적 탈취액이 커진 가운데 이번 바이낸스 해킹 자산의 이동 경로도 추적되고 있다. 북한 연계로 지목된 해커들은 동결되지 않은 자산을 여러 블록체인으로 이동시키고 있다. 체이널리시스는 단기간 수천 건의 거래가 이뤄져 자동화된 자금 출처 은폐가 의심된다고 분석했다.

WSJ는 엘립틱 자료를 인용해 2025년 바이비트 탈취 자산이 비트코인으로 바뀌는 데 10일, 현금화되는 데 수개월이 걸렸다고 보도했다. WSJ는 이번에도 중개업자를 통한 현금화에 수개월이 소요돼 북한 정부가 자금을 이용하는 시점이 2027년 무렵이 될 수 있다고 관측했다. 실제 현금화 규모와 최종 사용처는 확인되지 않았다.

10월 30일(현지시간) 미국 뉴욕 타임스스퀘어의 나스닥 마켓사이트 전광판에 비트코인 가격 하락이 표시돼 있다./UPI·연합

◇ 블룸버그, 미국 비트코인 펀드 10억4000만달러 순유출 집계

탈취 자산의 이동 경로를 추적하는 사이 시장에서는 투자금 유출이 나타났다. 미국 상장 비트코인 펀드에서는 10월 30일과 11월 2일 이틀간 10억4000만달러(1조3993억원)가 순유출됐다고 블룸버그가 집계했다. 블룸버그는 해킹과 미국 중간선거 불확실성을 함께 투자 심리 부담으로 지목했다.

텅 CEO는 이날 홍콩에서 회사의 재무 상태가 매우 건전하다며 "뼈아픈 교훈이다. 우리는 책임을 진다"고 말했다고 로이터통신이 전했다.